一、 背景介紹

目前創(chuàng)新互聯(lián)公司已為上千的企業(yè)提供了網(wǎng)站建設(shè)、域名、網(wǎng)站空間、網(wǎng)站托管、服務(wù)器托管、企業(yè)網(wǎng)站設(shè)計、愛輝網(wǎng)站維護(hù)等服務(wù)，公司將堅持客戶導(dǎo)向、應(yīng)用為本的策略，正道將秉承"和諧、參與、激情"的文化，與客戶和合作伙伴齊心協(xié)力一起成長，共同發(fā)展。

高校網(wǎng)絡(luò)中的數(shù)據(jù)一般包括網(wǎng)站數(shù)據(jù)、教學(xué)資源、圖書資源、教務(wù)管理數(shù)據(jù)、辦公資源、財務(wù)管理數(shù)據(jù)等，如教職工信息、學(xué)生信息、教學(xué)信息、科研信息、資產(chǎn)信息、圖書借閱信息、師生消費信息和上網(wǎng)信息等各種數(shù)據(jù)內(nèi)容。學(xué)校的招生就業(yè)、財務(wù)、資產(chǎn)數(shù)據(jù)等等都是不可外泄且不容篡改的數(shù)據(jù)，作為核心數(shù)據(jù)載體——數(shù)據(jù)庫，一旦發(fā)生來自于應(yīng)用用戶越權(quán)操作、程序開發(fā)人員和數(shù)據(jù)庫運維人員的數(shù)據(jù)泄露和篡改，都將造成巨大的損失，必定會給學(xué)校和社會造成重大影響，因此，作為保存著大量人員信息的數(shù)據(jù)庫，需要加強(qiáng)數(shù)據(jù)安全管理，除了及時完善，有效的處理漏洞，重要的是杜絕再次發(fā)生類似的攻擊事件，而能做到這一點的最有力手段就是靈活并有針對性的數(shù)據(jù)庫安全保護(hù)措施。

二、 需求分析

a) 政策需求

2016年11月7日，出示網(wǎng)絡(luò)安全法中涉及到的數(shù)據(jù)包括一般網(wǎng)絡(luò)數(shù)據(jù)（第21條），并且單獨對信息基礎(chǔ)設(shè)施數(shù)據(jù)（第34條）、用戶信息和個人信息（第42條），進(jìn)行重點保護(hù)：

1、對數(shù)據(jù)訪問日志進(jìn)行審計，且日志留存時間不低于6個月（第21條）；

2、對數(shù)據(jù)進(jìn)行分類，將敏感數(shù)據(jù)與普通數(shù)據(jù)區(qū)別化對待（第21條）；

3、對重要數(shù)據(jù)進(jìn)行備份，容災(zāi)（第21、34條）；

4、對重要數(shù)據(jù)進(jìn)行加密（第21、31條）；

5、對個人信息進(jìn)行脫敏（第42條）。

數(shù)據(jù)安全建設(shè)是等級保護(hù)2.0建設(shè)的核心內(nèi)容之一，根據(jù)新計算環(huán)境和業(yè)務(wù)場景對數(shù)據(jù)安全保護(hù)能力做出了更貼合實際情況的明確要求，下面分別是二級，三級的具體要求：

等保2.0二級要求：

1、應(yīng)授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用戶的權(quán)限分離（7.1.4.2-訪問控制（二級））；

2、應(yīng)啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進(jìn)行審計；審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息，并應(yīng)對審計記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等（7.1.4.2-安全審計（二級））；

3、應(yīng)僅采集和保存業(yè)務(wù)必需的用戶個人信息；應(yīng)禁止未授權(quán)訪問和非法使用用戶個人信息（7.1.4.10個人信息保護(hù)（二級））；

等保2.0三級要求：

等保三級在安全審計及個人信息保護(hù)這兩塊與等保二級要求的內(nèi)容相同，額外的，等保三級在訪問控制及數(shù)據(jù)保密性增加了相關(guān)要求,具體如下：

1、應(yīng)配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問規(guī)則；訪問控制的粒度應(yīng)達(dá)到主體為用戶級或進(jìn)程級，客體為文件、數(shù)據(jù)庫表級（8.1.4.2-訪問控制（三級））；

2、應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等（8.1.4.8數(shù)據(jù)保密性（三級））；

為貫徹落實國家信息安全等級保護(hù)制度，規(guī)范和指導(dǎo)全國教育信息安全等級保護(hù)工作，教育部辦公廳發(fā)布《印發(fā)關(guān)于開展教育系統(tǒng)信息安全等級保護(hù)工作專項檢查的通知》（教辦廳函[2010]80號）。2017年2月20日，教育部網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組辦公室下發(fā)了《關(guān)于印發(fā)教育部網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組第二次會議紀(jì)要的通知》的通知，會議強(qiáng)調(diào)了加快推進(jìn)網(wǎng)絡(luò)安全等級保護(hù)工作。

b) 業(yè)務(wù)需求

信息系統(tǒng)網(wǎng)絡(luò)安全建設(shè)的目的，是依照國家有關(guān)信息安全建設(shè)的一系列法規(guī)和政策，建立體系完整、安全功能強(qiáng)健、系統(tǒng)性能優(yōu)良的網(wǎng)絡(luò)安全系統(tǒng)，從而有效保障各項信息業(yè)務(wù)的正常運行，保護(hù)網(wǎng)絡(luò)內(nèi)敏感數(shù)據(jù)信息的安全。具體高校的數(shù)據(jù)安全建設(shè)的業(yè)務(wù)需求如下：

1、系統(tǒng)眾多，數(shù)據(jù)形成分散的孤島，管理效率低效；

2、安全人員缺失，人員管理工作繁重；

3、財務(wù)、師生隱私信息等核心信息資產(chǎn)的破壞和泄漏；

4、高校財務(wù)數(shù)據(jù)被非法篡改導(dǎo)致的資金流失；

5、在開發(fā)、測試環(huán)境中，第三方外包人員、應(yīng)用開發(fā)人員可能存在的數(shù)據(jù)泄露風(fēng)險；

6、傳統(tǒng)高校信息化數(shù)據(jù)庫防護(hù)存在缺陷。

三、 解決方案

為了解決上述高校業(yè)務(wù)需求，同時滿足通過高校信息化等級保護(hù)測評，網(wǎng)安等建設(shè)工作，需要建立并完善數(shù)據(jù)庫安全防護(hù)。通過環(huán)境中部署數(shù)據(jù)庫審計，加密，防火墻，脫敏系統(tǒng)，提高數(shù)據(jù)庫的安全水平。

目前高校的數(shù)據(jù)安全現(xiàn)狀主要呈現(xiàn)為以下3種形式：

1. 已經(jīng)完成數(shù)字校園建設(shè)，校內(nèi)已經(jīng)建成一站式平臺實現(xiàn)校園業(yè)務(wù)通辦。校內(nèi)建成集中式數(shù)據(jù)中心，各項業(yè)務(wù)正在由數(shù)字校園向智慧校園進(jìn)行升級，數(shù)據(jù)中心已經(jīng)部署了基本的數(shù)據(jù)庫審計設(shè)備。

2. 正在進(jìn)行數(shù)字校園建設(shè)，尚未投入使用，各業(yè)務(wù)系統(tǒng)分離。正在進(jìn)行數(shù)據(jù)中心建設(shè)，提取各個老舊系統(tǒng)的存量數(shù)據(jù)。拓?fù)浣Y(jié)構(gòu)復(fù)雜，尚未劃分安全域。

3. 依然使用原有系統(tǒng)，數(shù)字校園處于項目規(guī)劃階段和預(yù)算階段，想同步進(jìn)行應(yīng)用系統(tǒng)迭代建設(shè)和數(shù)據(jù)安全建設(shè)。

根據(jù)前文所述3類數(shù)據(jù)安全現(xiàn)狀，分別采取3種不同的技術(shù)手段進(jìn)行安全防護(hù)。

1. 已經(jīng)完成數(shù)字校園建設(shè)的高校，實行全面數(shù)據(jù)治理。部署數(shù)據(jù)安全態(tài)勢感知平臺，對校內(nèi)大融合數(shù)據(jù)中心內(nèi)海量數(shù)據(jù)進(jìn)行分類分級，完善訪問控制規(guī)則，同時增補(bǔ)各個安全節(jié)點，實現(xiàn)數(shù)據(jù)審計、訪問控制、脫敏和加密。

2. 尚未完成數(shù)據(jù)中心建設(shè)的高校，采取數(shù)據(jù)安全分步建設(shè)的方案。首先進(jìn)行基礎(chǔ)數(shù)據(jù)安全配置，根據(jù)項目進(jìn)度再進(jìn)行高級配置，最終平滑無縫升級到數(shù)據(jù)安全態(tài)勢感知平臺，無需大量更新設(shè)備即可實現(xiàn)全面的數(shù)據(jù)安全建設(shè)。

數(shù)據(jù)態(tài)感部署模式

數(shù)據(jù)安全態(tài)勢感知平臺呈現(xiàn)方式

數(shù)據(jù)分級分類及呈現(xiàn)

用戶行為分析

a) 基礎(chǔ)配置

1、對所有數(shù)據(jù)庫部署 數(shù)據(jù)庫審計產(chǎn)品。鏡像加探針多種方式實現(xiàn)對數(shù)據(jù)庫及活動在線監(jiān)控和保護(hù)。及時地發(fā)現(xiàn)網(wǎng)絡(luò)上針對數(shù)據(jù)庫的違規(guī)操作行為，并進(jìn)行記錄、報警。一旦發(fā)生威脅可迅速判斷是內(nèi)部人員的越權(quán)操作，還是外部人員的入侵行為，事后追責(zé)，滿足合規(guī)性要求。

2、對于一些包含重要數(shù)據(jù)、易受攻擊的系統(tǒng)，尤其是需要對校外人員提供服務(wù)的系統(tǒng)，比如一卡通、教育管理、財務(wù)管理等系統(tǒng)的數(shù)據(jù)庫服務(wù)器使用數(shù)據(jù)庫防火墻，一方面抵御SQL注入攻擊及針對數(shù)據(jù)庫漏洞的攻擊，另一方面對客戶端IP，主機(jī)名進(jìn)行，有效控制來自內(nèi)部的全表刪除等誤操作、超級權(quán)限濫用等。同時開啟學(xué)習(xí)功能，自動生成基線模型白名單，實現(xiàn)規(guī)則零配置，解決詳細(xì)設(shè)置防火墻規(guī)則的難題。

基礎(chǔ)配置不僅滿足等保及網(wǎng)安法對審計及訪問控制的基礎(chǔ)要求，也能滿足院方對訪問行為留痕，及內(nèi)外部非法及越權(quán)訪問的要求。

通過數(shù)據(jù)庫審計產(chǎn)品的部署，對重要命令，重要行為等對數(shù)據(jù)庫的所有操作，操作所訪問到的數(shù)據(jù)或者執(zhí)行的結(jié)果進(jìn)行審計，滿足等保2.0二級或三級安全審計的要求，滿足網(wǎng)安法第21條審計的要求。同時數(shù)據(jù)庫防火墻的部署可以設(shè)置細(xì)粒度的訪問控制，粒度可以到表級甚至是字段、行、語句級。從而實現(xiàn)最小操作權(quán)限，限制DBA等超級管理員權(quán)限，實現(xiàn)分權(quán)分離，滿足等保二級及三級對訪問控制，個人信息保護(hù)的要求，滿足網(wǎng)安法第21條區(qū)別對待敏感數(shù)據(jù)與普通數(shù)據(jù)的要求。

b) 高級配置

1、對于含有敏感信息系統(tǒng)例如包含資產(chǎn)及財務(wù)的財務(wù)數(shù)據(jù)庫系統(tǒng)，還需要部署數(shù)據(jù)庫加密系統(tǒng)。對對數(shù)據(jù)庫存儲的信息進(jìn)行加密存儲，并且通過獨立的權(quán)限管控系統(tǒng)來實現(xiàn)對敏感數(shù)據(jù)訪問的權(quán)限控制，確保其數(shù)據(jù)的安全性。

2、對于開發(fā)區(qū)，需要對開發(fā)分析數(shù)據(jù)例如科研數(shù)據(jù)需要部署數(shù)據(jù)庫靜態(tài)脫敏產(chǎn)品，提供批量的數(shù)據(jù)脫敏能力。通過采樣、替換等方式生成脫敏后的準(zhǔn)真實數(shù)據(jù)，滿足從開發(fā)數(shù)據(jù)庫導(dǎo)出以供系統(tǒng)開發(fā)者使用的需求，防止真實數(shù)據(jù)泄漏。針對運維環(huán)境，尤其是正在開發(fā)的應(yīng)用系統(tǒng)，采用數(shù)據(jù)庫動態(tài)脫敏產(chǎn)品，提供實時的數(shù)據(jù)脫敏能力，防止第三方維護(hù)人員的高權(quán)限訪問，誤操作，惡意操作，防止隱私數(shù)據(jù)泄露。

高級配置在基礎(chǔ)配置的基礎(chǔ)上增設(shè)了加密及脫敏，不僅提供對多類型核心業(yè)務(wù)系統(tǒng)數(shù)據(jù)庫的全面防護(hù)，也為院方通過等保測試工作提供一機(jī)多能的防護(hù)技術(shù)手段，全面滿足教育行業(yè)對信息安全的建設(shè)要求。

通過數(shù)據(jù)庫加密，實現(xiàn)對重要系統(tǒng)數(shù)據(jù)按列、按行、按記錄方式進(jìn)行 加密，滿足等保2.0三級數(shù)據(jù)保密性的要求，滿足網(wǎng)安法第21條，31條對重要數(shù)據(jù)進(jìn)行加密的要求。通過數(shù)據(jù)庫脫敏，在數(shù)據(jù)采集過程中實現(xiàn)對個人信息的脫敏操作，防止未授權(quán)訪問和非法使用個人信息，滿足等保2.0二級及三級對個人信息保護(hù)的要求，滿足網(wǎng)安法第42條對個人信息進(jìn)行脫敏的要求。

c) 高校業(yè)務(wù)系統(tǒng)適用數(shù)據(jù)安全產(chǎn)品分析

d) 管理方案

1、數(shù)據(jù)庫賬戶按業(yè)務(wù)用途嚴(yán)格區(qū)分，劃定業(yè)務(wù)權(quán)限，建議與管理終端綁定IP;

2、內(nèi)部權(quán)限管理,財務(wù)部、資產(chǎn)科、信息科分配獨立數(shù)據(jù)庫賬號，針對不同業(yè)務(wù)賬號，最小化開啟對數(shù)據(jù)庫的訪問權(quán)限；

3、對數(shù)據(jù)庫進(jìn)行權(quán)限管理，對核心數(shù)據(jù)表進(jìn)行全面監(jiān)控審計，定期生成用戶活動報表，對越權(quán)訪問的IP和數(shù)據(jù)庫用戶進(jìn)行阻斷防護(hù)，保證合法用戶正常訪問行為。

四、 方案優(yōu)勢

中安威士技術(shù)方案能夠有效解決高校財務(wù)系統(tǒng)目前所面臨的數(shù)據(jù)安全問題，提高數(shù)據(jù)庫的安全性、機(jī)密性、穩(wěn)定性以及可用性。大程度的保證不會因外部與內(nèi)部攻擊、有意或無意的危險操作等原因帶來的信息泄露、被篡改、被刪除等后果。滿足信息安全等級保護(hù)，網(wǎng)安法及高校信息安全相關(guān)要求。

1、 從核心處解決數(shù)據(jù)安全問題

從訪問數(shù)據(jù)庫的SQL語句級別和查看數(shù)據(jù)庫的字段級別進(jìn)行防控，從根源上徹底防止“篡改數(shù)據(jù)、刪除數(shù)據(jù)、竊取數(shù)據(jù)”的問題。

2、 防止無關(guān)業(yè)務(wù)人員訪問核心數(shù)據(jù)

對訪問核心數(shù)據(jù)的人員的權(quán)限體系建立，使核心數(shù)據(jù)流通在少數(shù)的、合規(guī)的人員內(nèi)部，完全屏蔽無關(guān)人員與無關(guān)業(yè)務(wù)系統(tǒng)的訪問權(quán)限，只針對運維及財務(wù)部門開放訪問權(quán)限并進(jìn)行集中審計與防護(hù)。

3、 防御為主、審計為輔

在主動防御的同時，依然對訪問行為進(jìn)行全程的審計監(jiān)控，便于時刻分析問題可能發(fā)生的時間、地點、人物，以便設(shè)置更合理的防御策略?；诎酌麊巫钄喾欠ń尤爰靶袨?，全面精準(zhǔn)地審計用戶操作行為。

文章標(biāo)題：高校數(shù)據(jù)安全解決方案-網(wǎng)站版-創(chuàng)新互聯(lián)
網(wǎng)站路徑：http://weahome.cn/article/cscehp.html